Dovrebbe essere il decreto capienze ma, con una pratica tutta opinabile di infilarci qualsiasi cosa, incluse le norme sul revenge porn, nello schema che circolava ieri (e che pure Mattarella dovrà firmare) non solo si oltrepassa la contingenza delle capienze, ma si arriva pure a mettere in crisi il diritto alla privacy dei cittadini quando a maneggiarlo è lo Stato. Praticamente, senza giri di parole ma al tempo stesso con articoli che riescono a essere vaghi e mal scritti, si lascia alla Pubblica amministrazione la libertà di fare quello che le pare con le informazioni dei cittadini se di mezzo c’è non la sicurezza nazionale, ma il semplice “pubblico interesse”, fosse pure la gestione del traffico. Niente parametri, niente indicazioni, pura discrezionalità nata con la scusa della lotta all’evasione, finita per essere una norma onnicomprensiva. Ecco come.
All’articolo 9 si legge: “Al decreto legislativo 30 giugno 2003, n. 196 (che introduce il codice della Privacy, ndr) è aggiunto il seguente: “1-bis. Il trattamento dei dati personali da parte di un’amministrazione pubblica… ivi comprese le Autorità indipendenti… nonché da parte di una società a controllo pubblico… di un organismo di diritto pubblico è sempre consentito se necessario per l’adempimento di un compito svolto nel pubblico interesse o per l’esercizio di pubblici poteri a essa attribuiti. La finalità del trattamento, se non espressamente prevista da una norma di legge o di regolamento, è indicata dall’amministrazione… in coerenza al compito svolto o al potere esercitato”.
Parallelamente si legittima la comunicazione di dati tra le amministrazioni (esclusi i particolari e i giudiziari) sempre in nome dell’interesse pubblico così come si sblocca la comunicazione anche a soggetti terzi e per altre finalità: basta siano necessarie per l’adempimento. Infine, si priva il Garante della Privacy della possibilità di prescrivere misure preventive a garanzia del cittadino nel caso di trattamenti che, seppur nell’interesse pubblico, presentino “rischi elevati”. Anche sulla durata della conservazione dei dati il Garante potrebbe non avere più voce in capitolo, mentre viene dato tempo 30 giorni per eventuali pareri sui progetti del Pnrr. Una sintesi brutale è a questo punto necessaria quanto più in linea con la brutalità della norma: in pratica, sulla base di quanto si legge, la Pa può progettare con i dati dei cittadini ciò che le viene utile e in tutta tranquillità, perché lo prevede la legge e non ci sarà il garante della Privacy a mettere i bastoni tra le ruote. Esempio: se per un obiettivo della Pa dovesse essere utile monitorare gli spostamenti dei cittadini in tempo reale, potrebbe mettere in piedi un sistema per farlo senza chiedere il parere al garante della Privacy e in nome del pubblico interesse, che siano la sburocratizzazione, la sicurezza, l’efficienza, il risparmio e così via. Poco importa se la ratio imminente sia combattere l’evasione fiscale e il fatto che in vista della delega c’era bisogno di scendere a patti con la privacy per spulciare i conti dei cittadini: oggi la portata è più ampia se si pensa anche solo ai progetti sul cloud nella Pa, catastrofica se in futuro ci fosse mano libera su videocamere e dati biometrici.
Problema/2: la norma, inoltre, non annulla le altre garanzie generali sulla privacy ma attacca le funzioni del Garante, spostando il suo intervento da certo prima a eventuale dopo. L’Authority quindi dovrà sempre controllare che, nel rispetto del Gdpr (il regolamento europeo), i dati utilizzati dall’ente riguardino solo le sue competenze e che ci si limiti a quelli necessari e in modo proporzionato agli obiettivi, mentre non è chiaro a chi debba essere destinata “l’indicazione” del loro utilizzo prevista dal decreto. Insomma, nella migliore prospettiva è un boomerang. Il garante potrà (non è obbligato) verificare – con un maggiore dispendio di energie e tempo – che tutto sia regolare solo all’avvio di iniziative che, nel caso non siano in regola (magari anche perché la normativa è poco chiara) potrebbero essere bloccate. Dopo aver in caso anche già violato la privacy dei cittadini. Altro che semplificazione ed efficienza.